upload-labs第2~10关

朱雀 2023-03-01 09:39 148阅读 0赞

### 目录 ###

*   *  第一关
     *  第二关
     *  第三关
     *  第四关
     *  第五关
     *  第六关
     *  第七关
     *  第八关
     *  第九关
     *  第十关

## [第一关][Link 1] ##

## 第二关 ##

直接上传一个php文件  
用burp suite抓包，然后改包，将文件类型改为image/png。  
Content-Type: image/png，然后上传成功  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70]

## 第三关 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 1]

不准上传php结尾的文件，那就上传以php5结尾的文件。

在Apache的配置文件里找到红色框框里的那一行，把前面的注释去掉，后面加上`.php5`

保存后重启Apache服务

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 2]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 3]

## 第四关 ##

利用Apache的漏洞，先上传一个.htaccess文件

**首先新建一个txt文件，在里面输入**：`SetHandler application/x-httpd-php`，这行命令的意思就是**将后续上传的文件不管任何后缀名都按照php进行执行**，我这里把文件命名为123.txt  
![在这里插入图片描述][20200723190244164.png]  
**然后保存，把文件改为.htaccess文件**  
打开cmd，进入123.txt文件保存的位置，我这里是在桌面上。

cd C:\Users\50153\Desktop
    rename 123.txt .htaccess

![在这里插入图片描述][20200723191024847.png]

然后先上传.htaccess文件

再上传木马文件，这里是234.png  
如果出现这个，提示你权限不够。没关系，其实文件已经执行了  
![在这里插入图片描述][20200723192715732.png]![在这里插入图片描述][20200723194140105.png]

## 第五关 ##

看源码，大小写的后缀名没有过滤完全，比如PHP  
![在这里插入图片描述][20200723194342358.png]  
抓包，将后缀改为PHP  
![在这里插入图片描述][20200723194618355.png]  
就可以了  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 4]

## 第六关 ##

没有首位去空，可以抓包，把png改为php，然后在末尾加上空格

因为windows会自动把文件后缀后面的空格去掉（可以在windows里面把一个`txt`文件，后缀改成`txt 空格` ，会发现保存后又自动改回txt）  
但是php的源码黑名单里面`txt`与`txt 空格`是不一样的  
![在这里插入图片描述][20200723201328609.png]  
![在这里插入图片描述][20200723201354677.png]

## 第七关 ##

这一关可以在后缀名后面加上 `.`  
因为windows的特性，会自动去掉后缀名最后的 **`.`** （比如`1.txt.`=`1.txt`）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 5]  
![在这里插入图片描述][2020072320225990.png]

## 第八关 ##

在后缀名加入::$DATA，实现将当前文件不会进行黑、白名单检测

::$DATA ：将文件转换为windows的文件流形式

（`此种方法仅仅针对windows平台+php语言的站点才有效`）  
![在这里插入图片描述][20200723202809597.png]  
这一关要注意的一点就是在用菜刀连接的时候，要把链接后面的`::$data`去掉  
![在这里插入图片描述][20200723213006673.png]

## 第九关 ##

文件名后缀改为php，并在后面加上`. .`(点+空格+点)  
![在这里插入图片描述][20200724141541249.png]

![在这里插入图片描述][20200724141604845.png]  
![在这里插入图片描述][20200724141839807.png]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 6]

## 第十关 ##

可以双写绕过，后缀改为`pphphp`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 7]

[Link 1]: https://blog.csdn.net/weixin_45663905/article/details/107528614
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70]: /images/20230209/d572df13d6ce4a08b09908e752d3db98.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 1]: /images/20230209/8ddcb50dc35a4d38997a8cadbacb9d9a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 2]: /images/20230209/0cb8515175004687a70fcc8c1519bf95.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 3]: /images/20230209/49fadd338e21415a9b321ddc7977cd4f.png
[20200723190244164.png]: /images/20230209/5dcf5c1216fd421daf37e35b8d5b6f8e.png
[20200723191024847.png]: /images/20230209/af08bd8ca88c4b36a978d93224d63768.png
[20200723192715732.png]: https://img-blog.csdnimg.cn/20200723192715732.png
[20200723194140105.png]: /images/20230209/3f59c74bf5c14ad8ad92fdfc8d00d030.png
[20200723194342358.png]: /images/20230209/eb272e30e1994fc6bc018c3331557305.png
[20200723194618355.png]: https://img-blog.csdnimg.cn/20200723194618355.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20200723194729740.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ==,size_16,color_FFFFFF,t_70
[20200723201328609.png]: https://img-blog.csdnimg.cn/20200723201328609.png
[20200723201354677.png]: https://img-blog.csdnimg.cn/20200723201354677.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20200723202144134.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ==,size_16,color_FFFFFF,t_70
[2020072320225990.png]: https://img-blog.csdnimg.cn/2020072320225990.png
[20200723202809597.png]: https://img-blog.csdnimg.cn/20200723202809597.png
[20200723213006673.png]: https://img-blog.csdnimg.cn/20200723213006673.png
[20200724141541249.png]: https://img-blog.csdnimg.cn/20200724141541249.png
[20200724141604845.png]: https://img-blog.csdnimg.cn/20200724141604845.png
[20200724141839807.png]: https://img-blog.csdnimg.cn/20200724141839807.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20200724141942502.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/20200724142250170.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ==,size_16,color_FFFFFF,t_70